Wazuh

Aus maxTechCorner

Auf einen Blick

Gilt fürWazuh 4.14 (aktuell 4.14.9), Stand Oktober 2026; Ausblick auf Wazuh 5.0 (Release Candidate seit 05.10.2026)
BereichIT-Security, SIEM
DauerÜberblick; Einstieg in 304 Praxisartikel
Rechte–
StandOktober 2026

Wazuh ist eine Open-Source-Plattform für SIEM und XDR, mit der Unternehmen Sicherheitsereignisse aus Servern, Clients, Firewalls und Cloud-Diensten zentral sammeln, auswerten und alarmieren. Diese Übersicht erklärt Aufbau und Versionen von Wazuh und führt thematisch sortiert durch alle 304 Wazuh-Artikel der maxTechCorner – von der Installation über eigene Decoder und Regeln bis zum Betrieb des Indexers.

Aufbau von Wazuh: Agenten auf Linux, Windows und macOS, Syslog von Firewalls und Switches, Cloud-Quellen wie AWS, Azure und Microsoft 365 sowie Threat Intelligence aus MISP liefern Daten an den Wazuh-Manager. Er dekodiert die Logs, wendet Regeln an, erkennt Schwachstellen und Dateiänderungen und löst Active Response aus. Die Alarme landen im Wazuh Indexer (OpenSearch), werden im Dashboard ausgewertet und per E-Mail, Teams, Jira oder Webhook gemeldet.

Was ist Wazuh?

  • SIEM und XDR in einem: Wazuh sammelt Logs, erkennt Angriffe anhand von Regeln, überwacht Dateien und Konfigurationen, meldet Schwachstellen und kann automatisch reagieren.
  • Open Source unter der GPLv2, entwickelt von der Wazuh Inc. – ohne Lizenzkosten pro Agent oder Datenvolumen. Ursprünglich ein Fork von OSSEC.
  • Komponenten: Wazuh-Agent auf den Endgeräten, Wazuh-Manager (Server mit Decodern, Regeln und API), Wazuh Indexer (auf Basis von OpenSearch) und Wazuh Dashboard als Weboberfläche.
  • Ports: Agenten melden sich über 1514/TCP beim Manager und registrieren sich über 1515/TCP; die Manager-API läuft auf 55000/TCP, der Indexer auf 9200/TCP, das Dashboard auf 443/TCP.

Wazuh-Versionen

  • Wazuh 4.14 ist die aktuelle Hauptversion (Stand Oktober 2026: 4.14.9). Wartungsversionen erscheinen etwa alle zwei bis vier Wochen.
  • Wazuh 5.0 liegt seit dem 05.10.2026 als Release Candidate vor. Produktive Systeme bleiben vorerst auf 4.14; die Umstellung zuerst in einer Testumgebung erproben, siehe Migration von Wazuh 4.x auf 5.x.
  • Manager, Indexer und Dashboard immer auf dieselbe Version aktualisieren. Agenten dürfen älter sein als der Manager, aber nicht neuer.

Wazuh im Unternehmen: NIS2 und ISO 27001

Ein SIEM ist für viele Unternehmen keine Kür mehr: Das NIS2-Umsetzungsgesetz verlangt von betroffenen Einrichtungen, Sicherheitsvorfälle zu erkennen und zu melden, und ISO 27001:2022 fordert Protokollierung und Überwachung (Controls 8.15 und 8.16). Wazuh liefert dafür die technische Grundlage – siehe NIS2 und Wazuh und Wazuh und ISO 27001:2022. Aufbau, Betrieb und Auswertung übernimmt auf Wunsch das Team SIEM mit Open Source von m.a.x. it.

Architektur, Installation & Betrieb

Aufbau, Sizing, Hochverfügbarkeit und Mandantenfähigkeit, Agenten-Rollout, Updates und Migration – vom All-in-One-Server bis zum verteilten Cluster.

Decoder & Regeln

Wie Decoder Rohlogs in Felder zerlegen und Regeln daraus Alarme erzeugen: Regel-Level, Korrelation mit frequency/timeframe, CDB-Listen und gezieltes Unterdrücken von Fehlalarmen.

Firewalls, Netzwerk & Syslog-Quellen

Logs von Firewalls, Switches, WLAN-Controllern und Storage-Systemen per Syslog anbinden – mit eigenen Decodern für FortiGate, Sophos, pfSense, OPNsense, UniFi, MikroTik, LANCOM und weitere.

Windows, Sysmon, Linux & Endpoint-Security

Windows-Eventlogs und Sysmon, Linux-Auditd sowie die Integration von EDR- und Endpoint-Produkten wie SentinelOne, CrowdStrike oder Kaspersky.

Cloud, Microsoft 365 & Kubernetes

AWS (CloudTrail, Security Hub, WAF), Microsoft Azure und Microsoft 365, Google Cloud sowie Wazuh auf Kubernetes.

Vulnerability Detection, FIM & SCA

Schwachstellenerkennung (Vulnerability Detection), Dateiintegritätsüberwachung (FIM), Konfigurationsprüfungen (SCA) und Compliance-Nachweise.

Indexer, OpenSearch & Dashboard

Der Wazuh Indexer basiert auf OpenSearch: Shards, Cluster-Status, Index-Templates und Mappings, Retention mit ISM, Snapshots sowie Fehlerbilder im Dashboard.

Alarmierung, Active Response & Automatisierung

Benachrichtigung per E-Mail, Microsoft Teams und Jira, automatische Gegenmaßnahmen mit Active Response und SOC-Automatisierung mit n8n oder Shuffle.

MISP & Threat Intelligence

Threat Intelligence mit MISP: Installation, Feeds und Updates sowie die Anreicherung von Wazuh-Alarmen mit IoCs.

Blog & Neuigkeiten

Hinweise auf Blogreihen, Neuigkeiten und Ankündigungen rund um Wazuh.

Siehe auch

Links und Quellen


Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung? Kontakt aufnehmen

Abgerufen von „https://techcorner.max-it.de/index.php?title=Wazuh&oldid=5431“